Mergecap Nedir ve Ne İşe Yarar?

Mergecap, birden fazla paket yakalama dosyasını (örneğin, .pcap, .pcapng) tek bir dosyada birleştirmek için kullanılan bir komut satırı aracıdır. Genellikle ağ trafiği analizi, güvenlik araştırmaları ve ağ sorun giderme gibi senaryolarda kullanılır. Farklı zaman dilimlerinde veya farklı ağ segmentlerinde yakalanan paketleri bir araya getirerek daha kapsamlı bir analiz imkanı sunar.

Önemli Noktalar:

Mergecap, Wireshark paket analiz yazılımının bir parçasıdır.
Birden fazla yakalama dosyasını sıralı bir şekilde birleştirebilir.
Farklı dosya formatlarını dönüştürebilir (örneğin, .pcap'ı .pcapng'ye).
Filtreleme seçenekleri ile birleştirilecek paketleri seçebilirsiniz.

Mergecap Hangi Durumlarda Kullanılır?

Mergecap'in kullanım alanları oldukça geniştir. İşte bazı yaygın senaryolar:

Dağıtık Ağ İzleme: Ağınızın farklı noktalarında birden fazla paket yakalayıcı (örneğin, tcpdump, Wireshark) çalıştırıyorsanız, bu yakalamaları birleştirmek için Mergecap kullanabilirsiniz.
Zaman İçinde Ağ Analizi: Belirli bir zaman diliminde meydana gelen ağ olaylarını analiz etmek için farklı zamanlarda yakalanan paketleri birleştirebilirsiniz.
Güvenlik Olay İnceleme: Şüpheli bir güvenlik olayını araştırırken, farklı kaynaklardan elde edilen paket yakalama verilerini bir araya getirmek olayın kapsamını anlamanıza yardımcı olabilir.
Ağ Performans Sorun Giderme: Ağ performans sorunlarını teşhis etmek için, farklı ağ segmentlerinden yakalanan paketleri birleştirerek sorunlu noktaları belirleyebilirsiniz.
Veri Yedekleme ve Arşivleme: Paket yakalama dosyalarını düzenli olarak yedekliyorsanız, bu dosyaları birleştirerek daha yönetilebilir bir arşiv oluşturabilirsiniz.

Gerçek Hayattan Örnek: Bir şirketin farklı şubelerindeki ağ trafiği analiz edilmek isteniyor. Her şubede Wireshark ile paket yakalama yapılıyor. Daha sonra, bu yakalanan dosyalar Mergecap ile birleştirilerek merkezi bir analiz yapılıyor ve ağdaki olası güvenlik açıkları veya performans sorunları tespit ediliyor.

Mergecap Nasıl Kullanılır? Temel Komutlar ve Seçenekler

Mergecap'in kullanımı oldukça basittir. Temel komut yapısı şöyledir:

mergecap [seçenekler] -w <çıktı_dosyası> <giriş_dosyaları>

Burada:

[seçenekler]: Mergecap'in davranışını değiştiren çeşitli seçeneklerdir (örneğin, dosya formatını belirtmek, filtre uygulamak).
-w <çıktı_dosyası>: Birleştirilmiş paketlerin yazılacağı çıktı dosyasının adını belirtir.
<giriş_dosyaları>: Birleştirilecek paket yakalama dosyalarının listesidir. Birden fazla dosya belirtilebilir.

Yaygın Kullanılan Seçenekler:

Seçenek	Açıklama
`-F <dosya_türü>`	Çıktı dosyasının formatını belirtir (örneğin, pcap, pcapng).
`-s <snaplen>`	Paketlerin yakalanacak maksimum boyutunu (snaplen) belirtir.
`-T <dosya_türü>`	Giriş dosyalarının türünü belirtir (varsayılan olarak otomatik olarak algılanır).
`-v`	Detaylı çıktı (verbose mode) sağlar.
`-w <çıktı_dosyası>`	Çıktı dosyasının adını belirtir.

Örnek Komutlar:

mergecap -w birlesik.pcap dosya1.pcap dosya2.pcap dosya3.pcap: dosya1.pcap, dosya2.pcap ve dosya3.pcap dosyalarını birlesik.pcap adlı bir dosyada birleştirir.
mergecap -F pcapng -w birlesik.pcapng dosya1.pcap dosya2.pcap: dosya1.pcap ve dosya2.pcap dosyalarını birlesik.pcapng adlı bir .pcapng formatında birleştirir.
mergecap -v -w birlesik.pcap dosya*.pcap: Aynı dizindeki tüm .pcap dosyalarını birlesik.pcap adlı bir dosyada birleştirir ve detaylı çıktı sağlar.

Adım Adım Süreç:

Komut satırını açın.
Mergecap'in kurulu olduğu dizine gidin veya Mergecap'in yolunu sistem değişkenlerine ekleyin.
Yukarıdaki örnek komutlardan birini kullanarak, birleştirmek istediğiniz dosyaları ve çıktı dosyasının adını belirtin.
Komutu çalıştırın. Mergecap, belirtilen dosyaları birleştirip çıktı dosyasına yazacaktır.

Mergecap ile Filtreleme Nasıl Yapılır?

Mergecap doğrudan filtreleme yapma özelliğine sahip değildir. Ancak, Wireshark'in editcap aracı ile birlikte kullanılarak filtreleme işlemi gerçekleştirilebilir. İlk olarak, editcap ile her bir dosyayı ayrı ayrı filtreleyip, ardından Mergecap ile birleştirebilirsiniz.

Örnek Senaryo: Sadece belirli bir IP adresinden gelen veya giden paketleri birleştirmek istiyorsunuz.

Adım 1: Her bir dosyayı editcap ile filtreleyin.
```
editcap -r dosya1.pcap filtreli_dosya1.pcap "ip.addr == 192.168.1.100"
editcap -r dosya2.pcap filtreli_dosya2.pcap "ip.addr == 192.168.1.100"
```
Bu komutlar, dosya1.pcap ve dosya2.pcap dosyalarından sadece 192.168.1.100 IP adresine sahip paketleri ayırarak filtreli_dosya1.pcap ve filtreli_dosya2.pcap dosyalarına yazar. -r seçeneği, girdi dosyasını okuyup filtre uygulayarak çıktı dosyasına yazılmasını sağlar.
Adım 2: Filtrelenmiş dosyaları Mergecap ile birleştirin.
```
mergecap -w birlesik_filtreli.pcap filtreli_dosya1.pcap filtreli_dosya2.pcap
```
Bu komut, filtreli_dosya1.pcap ve filtreli_dosya2.pcap dosyalarını birlesik_filtreli.pcap adlı bir dosyada birleştirir.

Alternatif Yöntem: Wireshark'in arayüzünü kullanarak da filtreleme yapabilirsiniz. Dosyaları Wireshark ile açıp, istediğiniz filtreyi uyguladıktan sonra, filtrelenmiş paketleri yeni bir dosyaya kaydedebilirsiniz. Daha sonra bu filtrelenmiş dosyaları Mergecap ile birleştirebilirsiniz.

Farklı Paket Yakalama Formatları ve Mergecap Uyumluluğu

Mergecap, çeşitli paket yakalama formatlarını destekler. En yaygın formatlar şunlardır:

PCAP (.pcap): En yaygın kullanılan paket yakalama formatıdır. Wireshark, tcpdump ve diğer birçok ağ analiz aracı tarafından desteklenir.
PCAP Next Generation (.pcapng): PCAP'ın geliştirilmiş bir sürümüdür. Daha fazla meta veri ve gelişmiş özellikler sunar.
Libpcap Savefile Format: PCAP formatının bir varyasyonudur.

Mergecap, genellikle farklı formatları otomatik olarak algılar ve dönüştürebilir. Ancak, bazı durumlarda -F seçeneği ile çıktı formatını belirtmek gerekebilir.

Format Uyumluluğu Tablosu:

Giriş Formatı	Çıktı Formatı (`-F` seçeneği ile)	Destek Durumu
PCAP (.pcap)	PCAP (.pcap), PCAPNG (.pcapng)	Tam Destek
PCAPNG (.pcapng)	PCAP (.pcap), PCAPNG (.pcapng)	Tam Destek
Libpcap Savefile Format	PCAP (.pcap), PCAPNG (.pcapng)	Tam Destek

Önemli Not: Nadir durumlarda, Mergecap bazı özel veya eski formatları desteklemeyebilir. Bu durumda, dosyaları Wireshark veya başka bir araç ile daha yaygın bir formata dönüştürmek gerekebilir.

Mergecap ile Büyük Dosyaları Birleştirme: Performans ve Optimizasyon

Büyük paket yakalama dosyalarını birleştirirken performans sorunları yaşanabilir. İşte performansı artırmak için bazı ipuçları:

Donanım Kaynakları: Yeterli RAM ve hızlı bir depolama birimi kullanın. Büyük dosyaları birleştirirken Mergecap, bellekte önemli miktarda veri tutabilir.
Dosya Formatı: PCAPNG formatı, PCAP'a göre daha fazla meta veri içerdiği için daha fazla depolama alanı gerektirebilir ve birleştirme işlemini yavaşlatabilir. Mümkünse PCAP formatını kullanın.
Disk G/Ç Optimizasyonu: Giriş ve çıktı dosyalarını farklı fiziksel disklere yerleştirerek disk G/Ç performansını artırabilirsiniz.
Paralel İşleme: Mergecap paralel işleme özelliğini desteklemez. Ancak, dosyaları parçalara ayırıp ayrı ayrı birleştirebilir ve ardından bu parçaları tekrar birleştirebilirsiniz (karmaşık bir yöntemdir).

Vaka Çalışması: 10 adet 10GB'lık PCAP dosyasını birleştirirken performans sorunları yaşanıyor. Çözüm olarak, dosyalar SSD disk üzerinde birleştiriliyor ve RAM miktarı artırılıyor. Bu sayede birleştirme süresi önemli ölçüde azalıyor.

Ek Öneriler:

Gereksiz paketleri filtreleyerek dosya boyutunu küçültün (editcap ile).
Birleştirme işlemini arka planda çalıştırın (örneğin, nohup komutu ile).
Sistem kaynaklarını izleyerek (örneğin, top veya htop komutları ile) darboğazları belirleyin.

Mergecap Sorun Giderme: Yaygın Hatalar ve Çözümleri

Mergecap kullanırken bazı hatalarla karşılaşabilirsiniz. İşte yaygın hatalar ve çözümleri:

"Invalid capture file format" hatası: Bu hata, Mergecap'in giriş dosyasının formatını tanımadığını gösterir. Çözüm olarak, -T seçeneği ile dosya türünü belirtin veya dosyayı Wireshark ile açıp farklı bir formata kaydedin.
"Not enough memory" hatası: Bu hata, Mergecap'in birleştirme işlemi için yeterli belleğe sahip olmadığını gösterir. Çözüm olarak, kullanılmayan uygulamaları kapatın, RAM miktarını artırın veya dosyaları daha küçük parçalara ayırarak birleştirin.
"File not found" hatası: Bu hata, Mergecap'in belirtilen giriş dosyasını bulamadığını gösterir. Dosya adının doğru olduğundan ve dosyanın doğru dizinde bulunduğundan emin olun.
Birleştirme işlemi çok yavaş: Bu sorun, donanım kaynaklarının yetersizliğinden veya dosya boyutunun çok büyük olmasından kaynaklanabilir. Yukarıdaki performans optimizasyonu ipuçlarını uygulayın.

Örnek Hata Senaryosu: Kullanıcı, dosya1.pcap ve dosya2.pcapng dosyalarını birleştirmeye çalışıyor, ancak "Invalid capture file format" hatası alıyor. Çözüm olarak, komut şu şekilde düzeltiliyor: mergecap -T pcap -w birlesik.pcap dosya1.pcap dosya2.pcapng. Bu komut, Mergecap'e giriş dosyalarının PCAP formatında olduğunu belirtir (-T pcap seçeneği ile). Ancak, dosya2 aslında pcapng formatında olduğundan dolayı bu komut doğru çalışmayacaktır. Doğru çözüm, dosyayı wireshark ile açıp pcap formatına kaydetmek ve sonra birleştirmektir.

Ek İpuçları: